CVE-2026-55090 in Etherpad
Résumé
par VulDB • 19/08/2026
Etherpad est un éditeur collaboratif en temps réel. Avant la version 3.3.0, la fonction getHTMLFromAtext dans src/node/utils/ExportHtml.ts interpole les valeurs issues du hook de plugin exportHtmlAdditionalTagsWithData dans des attributs data de balises span sans échappement HTML approprié pour les attributs. Un éditeur de pad peut insérer une valeur contrôlée par un attaquant dans le pool d'attributs via moveOpsToNewPool et AttributePool.putAttrib. Lorsqu'un plugin intégré tel que ep_font_color ou ep_font_size enregistre ce hook, l'ouverture de l'export HTML résultant provoque l'exécution de la valeur sous forme de script intersite (XSS) stocké dans le contexte d'origine d'Etherpad. Ce problème est corrigé dans la version 3.3.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.